Licences d'exportation applicables aux articles de cryptologie

Foire aux questions

Catégorie 5 Partie 2 – Articles à enchiffrement

A. Questions de nature général

1. Pourquoi le Canada contrôle-t-il les articles cryptographiques destinés à l'exportation?

Conformément à la Loi sur les licences d'exportation et d'importation, le Canada contrôle les exportations de certains biens et de certaines technologies à usage militaire, à usage stratégique et à double usage. La liste des contrôles à l'exportation (LCE) définit les articles qui sont assujettis à des contrôles et les définitions en question sont en général l'aboutissement de négociations multilatérales dans quatre régimes de contrôle d'exportation auxquels le Canada participe.

Reconnaissant que la cryptographie pourrait être utilisée pour saper ou menacer la sécurité nationale et internationale, tous les quarante États ayant souscrit à l'Accord de Wassenaar se sont engagés à mettre en œuvre des contrôles à l'exportation sur la cryptographie dans leur législation nationale. La cryptographie est contrôlée dans la catégorie 5 du groupe 1, Liste des biens à double usage, laquelle comprend des articles conçus pour des applications civiles et commerciales, mais qui pourraient aussi être utilisés à des fins militaires importantes. La Direction des contrôles à l'exportation administre les contrôles en question en partenariat avec le Centre de sécurité des télécommunications Canada (CST), agence canadienne nationale de cryptologie. Les contrôles à l'exportation sont mis en application par l'Agence des services frontaliers du Canada et par la Gendarmerie royale du Canada, en consultation avec les bureaux administrateurs.

En raison du fait que les articles à enchiffrement peuvent être utilisés pour tenir une information secrète, le gouvernement du Canada prend des mesures pour se protéger contre la possibilité que les articles en question puissent être utilisés par des personnes à l'étranger pour nuire aux intérêts du Canada en matière de politique étrangère et de sécurité nationale. Les contrôles cryptographiques à l'exportation aident le gouvernement à veiller à ce que les intérêts du Canada en matière de politique étrangère et de sécurité nationale soient protégés contre les activités hostiles ou délétères dissimulées, à l'étranger. En même temps, les contrôles à l'exportation visent à faciliter l'utilisation légitime de l'enchiffrement pour protéger l'information au sein des secteurs public et privé.

2. Les articles utilisant seulement des logiciels d'enchiffrement en libre accès sont-ils mentionnés dans la catégorie 5, partie 2?

Lorsqu'un nouvel article est créé à l'aide d'un logiciel en libre accès comme Open SSL, il est considéré comme article à enchiffrement distinct et séparé qui devra être examiné par rapport à la Liste des marchandises d'exportation contrôlée (LMEC).

3. Est-ce que les articles qui contiennent un enchiffrement non utilisé ou non activé nécessitent un examen par rapport aux critères de la catégorie 5, partie 2?

Les articles qui contiennent un enchiffrement qui n'est ni utilisé ni activé sont considérés comme des articles à enchiffrement nécessitant un examen par rapport à la catégorie 5, partie 2.

Les articles qui ne contiennent pas d'enchiffrement, mais qui utilisent un enchiffrement déjà présent dans d'autres articles sont considérés comme des articles à enchiffrement nécessitant un examen par rapport à la catégorie 5, partie 2.

5. Est-ce que les dispositifs médicaux utilisant un chiffrement sont mentionnés dans la catégorie 5, partie 2?

Non. Les articles spécialement destinés à un usage final médical sont exempts du groupe 1 et du groupe 2 de la Liste canadienne des marchandises d'exportation contrôlée (LMEC), aux termes d'un protocole d'accord convenu dans le cadre de l'Accord de Wassenaar.

Oui. Même si la carte de traitement n'utilise aucune cryptographie, elle est considérée comme étant spécialement destinée à utiliser la cryptographie et devrait être évaluée par rapport à la catégorie 5, partie 2.

Oui. Même si l'application de stockage sécuritaire de données ne comporte pas de routines ni d'algorithmes cryptographiques, elle est capable de solliciter une bibliothèque cryptographique résidant ailleurs. Cet article est donc spécialement conçu pour utiliser la cryptographie et, par conséquent, est contrôlé en vertu de la catégorie 5, partie 2.

Non. La note 2 permet l'exportation de produits contrôlés en vertu de la catégorie 5, partie 2, lorsqu'ils accompagnent l'utilisateur pour son usage personnel.

9. Nous produisons des systèmes de télécommunication modulaires qui peuvent inclure ou ne pas inclure des composantes cryptographiques selon la nature des lames matérielles commandées. Doit on considérer la catégorie 5, partie 2 pour tous nos produits?

Non. Seuls les modèles spécifiques spécialement conçus pour utiliser la cryptographie sont contrôlés en vertu de la catégorie 5, partie 2. Une licence d'exportation peut être nécessaire pour les modèles qui comprennent une fonctionnalité cryptographique.

10. J'exporte un article que j'ai acheté et je ne dispose pas de renseignements techniques au sujet de sa fonctionnalité cryptographique. Que dois-je faire?

Afin de procéder à l'évaluation technique complète de l'article, il faut certains renseignements. Les détails au sujet de la fonctionnalité cryptographique ainsi que d'autres détails peuvent vraisemblablement être obtenus auprès du fabricant d'origine.

11. Est-ce que l'équipement militaire qui utilise la cryptographie est contrôlé en vertu de la catégorie 5, partie 2?

Si l'article est spécialement conçu pour un usage militaire, il est contrôlé en vertu du groupe 2. La liste du groupe 1, liste des articles à double usage, contrôle les articles qui sont conçus pour les applications civiles et commerciales et, par conséquent, tout article spécialement conçu pour un usage militaire n'est pas par définition un article à double usage. Toutefois, le Contrôle des exportations en direct (CEED) exige que vous confirmiez si oui ou non un article comporte une fonctionnalité cryptographique, peu importe où l'article peut être contrôlé en vertu de la LMEC.

Non. Chaque article est évalué séparément comme s'il était exporté individuellement. La classification des articles assujettis à un contrôle à l'exportation qui ont été rempaquetés ou empaquetés ensemble à des fins de commercialisation ou d'expédition seulement reste la même.

B. Questions reliées à la note 3 sur la cryptologie

1. Quels sont les enjeux dont il faut tenir compte dans l'évaluation d'un article par rapport à la note 3 de la catégorie 5 –partie 2?

La note 3 de la catégorie 5 – partie 2, de la LMTEC est une note d'articles libérés ayant pour but d'assouplir les contrôles visant les produits et les technologies de cryptologie vendus en grandes quantités au grand public. Cette note est parfois appelée la note sur les marchés de masse.

Il y a quatre éléments à la note qui doivent être satisfaits entièrement pour que la note puisse s'appliquer. Les questions présentées ci-dessous ont pour but d'aider les exportateurs à déterminer si leurs produits satisfont aux exigences de la note.

Si un exportateur n'est pas tout à fait certain que la note 3 s'applique à un produit en particulier, il doit soumettre une demande de licence d'exportation ou d'avis consultatif. Cette demande doit comprendre des renseignements pertinents répondant aux points décrits plus bas.

S'il s'avère que la note 3 s'applique au produit qui serait autrement contrôlé d'après la catégorie 5 – partie 2, aucune licence n'est nécessaire pour exporter ce produit du Canada, à moins qu'il soit contrôlé par une autre partie de la LMTEC.

Note 3

Note sur la cryptologie

Les paragraphes 1-5.A.2. et 1-5.D.2. ne visent pas les articles qui répondent à toutes les exigences suivantes :

a. généralement offerts au public en étant vendus, sans restriction à partir de stocks à des points de vente au détail par l'entremise des transactions suivantes :

1. transactions au comptoir;
2. transactions postales;
3. transactions électroniques; ou
4. transactions téléphoniques;

b. la fonctionnalité de cryptologie ne peut pas être facilement modifiée par l'utilisateur;

c. conçus aux fins d'installation par l'utilisateur sans soutien significatif accru de la part du fournisseur;

d. supprimé;

e. au besoin, les détails des articles sont accessibles et seront fournis, sur demande, à l'autorité appropriée dans le pays de l'exportateur afin de s'assurer de leur conformité aux conditions décrites aux alinéas a. à c. ci-dessus.

Suivent certaines des questions clés dont il faut tenir compte dans l'évaluation d'un article par rapport à la note 3.

1) En ce qui concerne la partie a. de la note 3, au Canada, un article est normalement considéré comme « couramment à la disposition du public » s'il est vendu « sans restrictions » ni qualification de l'acheteur requise et s'il est destiné à l'usage du grand public. Autrement dit, le vendeur ne tient pas compte de qui achète son produit et ne fait aucune discrimination entre les différents acheteurs. Les utilisateurs spécialisés, comme les médecins, les pompiers et les grandes entreprises, ne font pas partie de ce que l'on nomme le grand public : des produits destinés à être vendus seulement à un ou à plusieurs groupes spécialisés ne sont généralement pas visés par la note 3. Toutefois, l'utilisation d'un produit par un groupe spécialisé n'exclut pas automatiquement un produit de la portée de la note 3.

En général, si un produit est personnalisé pour un client ou un acheteur précis, la note 3 ne s'applique pas, car le produit personnalisé ne pourrait pas être vendu « à partir de stocks ». Toutefois, cette limitation ne vise pas les produits qui, par leur nature, sont offerts avec différentes options que tout client peut choisir dans le cadre de l'achat normal du produit en question, tout comme une voiture est offerte en différentes couleurs et avec diverses options pouvant être choisies par le client.

La note 3 énumère quatre différentes façons d'acheter un produit. Si un produit est offert d'au moins une de ces façons (c.-à-d. par transaction au comptoir, transaction postale, transaction électronique ou transaction téléphonique), cet élément de la note s'applique normalement. Un produit ne doit pas nécessairement être vendu des quatre façons à la fois pour être visé par la note.

Aucun prix minimum ou maximum n'est nécessaire pour que la note s'applique. Autrement dit, le prix n'est pas normalement considéré, à lui seul, comme une restriction sur la disponibilité du produit aux fins de l'application de la note.

Dans le cas où une demande de licence d'exportation ou d'avis consultatif a été présentée pour déterminer si la note 3 s'applique à un certain produit, le demandeur doit répondre aux questions suivantes ou fournir les renseignements suivants dans sa demande :

1. Environ combien de copies ou d'unités du produit ont été vendues sur le marché intérieur en Amérique du Nord? Parmi les articles vendus, quel pourcentage a été vendu en magasin au comptoir, par commande postale, par commande téléphonique et par un autre moyen? Veuillez préciser.
2. Quels sont les détails de la stratégie de commercialisation pour le produit? Il faut fournir une documentation d'appui illustrant les partenariats, les alliances ou les réseaux de distribution établis pour les marchés de gros, les marchés de détail, les marchés d'OEM et les marchés indirects. Des copies (et non pas des hyperliens) de sites Web, de catalogues, de brochures et d'autres documents de ce genre doivent être fournies pour démontrer la disponibilité du produit au détail.
3. Le matériel ou le logiciel a-t-il été modifié ou personnalisé selon les précisions d'un client?

2) En ce qui concerne la partie b. de la note 3, une simple activation ou désactivation, par l'utilisateur, de la fonctionnalité de cryptologie du produit n'est pas normalement considérée comme un changement de cette fonctionnalité. Un produit dont la fonctionnalité de cryptologie peut être activée ou désactivée par l'utilisateur à la maison (p. ex. un routeur sans fil) peut être visé par la note 3.

Toutefois, un produit pour lequel l'utilisateur peut ajuster l'algorithme cryptographique, par exemple au moyen d'une interface graphique ou d'un autre mécanisme, ne répond normalement pas à cette condition de la note.

Le code source peut être « facilement modifié » par l'utilisateur. Le code source d'un algorithme cryptographique ne satisfait pas normalement aux exigences de la note 3.

3) Normalement, pour être visé par la note 3, un produit doit être conçu pour être installé par la personne qui utilisera le produit.

Par exemple, bien qu'un routeur sans fil pour usage résidentiel puisse être difficile à installer pour certains clients, la plupart des membres du grand public sont capables de l'installer à l'aide des directives fournies avec le produit en question. En conséquence, ils sont généralement considérés comme « conçus aux fins d'installation par l'utilisateur ».

Ni un soutien à l'installation sur place facultatif offert par le distributeur ayant vendu le produit ni les directives d'installation fournies avec le produit ne constituent normalement du « soutien significatif accru de la part du fournisseur ». La prestation d'aide au moyen d'une ligne téléphonique sans frais ou d'un site Web où un utilisateur ne possédant pas de connaissances techniques peut poser des questions ou obtenir des précisions sur les directives d'installation ne constitue normalement pas du « soutien significatif accru de la part du fournisseur ».

Les systèmes de commutation téléphoniques et les autocommutateurs privés conçus pour être installés par des techniciens ne satisfont normalement pas à cette exigence de la note, car ils ne sont pas conçus pour être installés par l'utilisateur, c'estàdire par la personne qui appelle.

Dans les cas où une demande de licence d'exportation ou d'avis consultatif est présentée pour déterminer si la note 3 s'applique, le demandeur doit répondre aux questions suivantes ou fournir les renseignements suivants dans sa demande :

Documentation d'appui sur la manière dont le produit est destiné « à être installé par l'utilisateur »
Le produit est-il accompagné d'un manuel de l'utilisateur, d'un manuel d'installation ou d'un fichier narratif? Quels détails sur le produit sont fournis?
Le degré de soutien accordé par le fournisseur et par les tiers au nom du fournisseur (p. ex. interface homme-machine, conception technique et options de configurations pouvant être sélectionnées par l'utilisateur)?

2. Quels exemples pourrait-on donner d'articles visés par la note 3?

Les exemples d'articles visés par la note 3 comprennent les produits ci-dessous, mais n'y sont pas limités :

les systèmes d'exploitation polyvalents;
les dispositifs sans fil de portée courte comme les points d'accès;
les assistants numériques personnels (PDA) et les téléphones Web;
les logiciels commerciaux en vente libre pour les ordinateurs personnels;
les articles de réseautage à usage domiciliaire.

3. Quels exemples pourrait-on donner d'articles non visés par la note 3?

Les exemples d'articles non visés par la note 3 comprennent les produits ci-dessous, mais n'y sont pas limités :

les articles nécessitant un soutien important pour l'installation;
les articles qui servent à la production d'autres articles, comme les puces comprenant des accélérateurs cryptographiques;
les codes sources.

Lorsqu'un logiciel modifie un ordinateur pour qu'il accomplisse une fonction donnée, le produit qui en résulte est considéré comme un article à enchiffrement distinct et séparé.

Non. La note 3 énonce que le logiciel doit être offert au public en étant vendu sans restriction, à partir des stocks à tout point de vente au détail. L'inscription et la vérification que vous pratiquez auprès des utilisateurs avant le téléchargement du logiciel ajouté gratuit constitue une restriction exercée sur la disponibilité du produit auprès du public et, par conséquent, cet article ne répond pas aux exigences de la note 3.

Les téléphones utilisent un protocole SIP interopérable conçu pour être indépendant de l'équipement d'infrastructure de télécommunications sous-jacent. Par conséquent, il ne s'agit pas d'une composante spécialement conçue d'un article contrôlé en vertu de la catégorie 5, partie 2. Les articles en question feront l'objet d'une suppression des mécanismes de contrôle pourvu qu'ils respectent les exigences de la note 3.

Il est peu probable que le système que vous décrivez soit un système qui correspond à la note sur les marchés de masse (note 3). Toutefois, le texte du point 1-5.A.2.a.1 exclut clairement les dispositifs où la cryptographie est utilisée pour l'authentification ou la signature numérique.

8. À quel moment un produit de consommation nouvellement lancé et comportant un élément de cryptologie pourrait-il commencer à être visé par la note 3 sur les articles de cryptologie?

Un produit comportant une fonctionnalité de cryptologie et satisfaisant à toutes les exigences de la note 3, sans toutefois être « couramment à la disposition du public » parce qu'il n'est pas encore offert en vente au détail, peut normalement être visé par la note 3, et ce, même s'il n'en est qu'à l'étape des essais bêta, de la préproduction ou de la production initiale limitée, pourvu que la conception logique et physique de la fonctionnalité de cryptologie du produit fini soit terminée.

C. Questions reliées à la note 4

1. Qu'est-ce qu'un article à « cryptographie accessoire »?

Un article qui est l'objet d'une suppression des mécanismes de contrôle en vertu de la note 4 de la catégorie 5, partie 2, dans la Liste canadienne des marchandises d'exportation contrôlée (LMEC) (aussi connut comme un article à « cryptographie accessoire ») s'entend d'un article incorporant ou utilisant la cryptographie et respectant tous les critères suivants :

a. La fonction première ou ensemble de fonctions qui ne sont pas ce qui suit ou qui ne sont pas destinées à ce qui suit :

sécurité de l'information;
ordinateur, y compris les systèmes d'exploitation, les pièces et les composantes;
envoi, réception et stockage d'Information (sauf à l'appui d'un divertissement, des diffusions commerciales de masse, des droits numériques ou de la gestion des dossiers médicaux);
réseautage (y compris l'exploitation, l'administration, la gestion et le provisionnement).

b. La fonctionnalité cryptographique de l'article est limitée au soutien de sa fonction première ou de son ensemble de fonctions; et

c. En cas de nécessité, les détails de l'article sont accessibles et seront fournis sur demande à l'autorité compétente dans le pays exportateur afin de certifier la conformité aux conditions décrites dans les paragraphes a et b ci-dessus.

La liste qui suit, qui énumère des exemples non exhaustifs, est fournie comme renseignement supplémentaire pour aider les demandeurs dans leur auto évaluation des articles à enchiffrement accessoire.

Exemples d'articles qui seraient considérés comme des articles à enchiffrement accessoire, notamment :

les systèmes de prévention du vol et du piratage de logiciels, de musique, etc.;
les jeux et le jeu;
les petits et grands électroménagers;
les imprimés, les reproductions, les images et les enregistrements et les lectures vidéo;
les systèmes de modélisation et d'automatisation des processus opérationnels (p. ex., gestion de la chaîne d'approvisionnement, inventaire, ordonnancement et livraison);
les systèmes industriels, les systèmes mécaniques et les systèmes de fabrication (p. ex., robotique, équipement lourd, systèmes d'immeubles comme les alertes d'incendie, CVCA);
les systèmes automobiles, les systèmes aériens et les autres systèmes de transport.

Exemples d'articles qui ne seraient pas considérés comme des articles à enchiffrement accessoire, notamment :

le courriel, les systèmes vocaux, la vidéoconférence, le télécopieur, l'enchiffrement de disque (y compris les applications, les sessions, la signalisation, le transport et l'enchiffrement de mémoires);
un réseau privé virtuel sécuritaire (VPN), un routeur, une station de commutation de base, un dispositif de communication par satellite, un système radio à commutation automatique de canaux, un point d'accès sans fil, un pont, un répéteur, un serveur ou un point d'extrémité utilisant un protocole voix sur IP (VoIP), un pare-feu ou un autre élément de réseautage ou d'infrastructure de réseau;
un système d'exploitation pour un ordinateur ou un appareil de sécurité;
un coprocesseur ou un accélérateur cryptographique;
un microprocesseur, un système sur puce ou un autre assemblage électronique mettant en œuvre des primitives cryptographiques ou d'autres fonctionnalités de sécurité de l'information;
un système de gestion, de provisionnement ou de surveillance, y compris les services de sécurité gérés et les outils des centres de sûreté opérationnelle (CSO) et des centres d'exploitation de réseaux (SER);
un outil médico-légal utilisable par ordinateur, par canal numérique ou par Internet;
un outil cryptoanalytique;
une bibliothèque cryptographique (y compris les interfaces de programmes d'application (API) et d'autres interfaces cryptographiques), une boîte à outils ou un nécessaire de développement de logiciels (SDK);
une infrastructure publique essentielle (IPE) et autres éléments clés de gestion, y compris la création, l'échange, le chargement ou le stockage de clés d'enchiffrement ou de paramètres secrets (p ex. les cryptovariables);
un système de cryptographie quantique (QKD).

Le premier objectif du système, qui comprend les luminaires et la télécommande, est l'exploitation des luminaires mobiles d'aérogare et, par conséquent, cet article fera normalement l'objet d'une suppression des mécanismes de contrôle en vertu de la note 4 de la catégorie 5, partie 2, dans la Liste canadienne des marchandises d'exportation contrôlée (LMEC).

La note 4 normalement permet l'exportation de produits lorsque leur fonction première est le divertissement, même si l'équipement est utilisé pour envoyer, recevoir ou stocker de l'information. Il est toutefois important de noter que l'applicabilité de la note 4 dépend de ce qui est proposé pour exportation. Dans le cas qui nous occupe, l'équipement de jeu amélioré et les mises à niveau logicielles exportés devraient être spécialement conçus pour le jeu (p. ex. divertissement) et répondre aux exigences de la note 4 afin de faire l'objet d'une suppression des mécanismes de contrôle en vertu de la catégorie 5, partie 2.

4. J'exporte un avion qui comprend un dispositif de communication intégré faisant appel à l'enchiffrement. Est-ce que l'avion est contrôlé en vertu de la catégorie 5, partie 2?

La note 4 sur la suppression des mécanismes de contrôle normalement s'applique étant donné que la fonction première du système est le transport aérien.

5. Qu'en est-il si j'exporte pour l'avion une pièce de rechange qui fait appel à l'enchiffrement?

La pièce de rechange devrait être évaluée séparément, et si elle ne fait pas l'objet d'une suppression des mécanismes de contrôle en vertu de la note 4 à cause de sa fonction première, elle peut être contrôlée en vertu de la catégorie 5, partie 2.

Recherche

Nouvelles

Politique étrangère

Commerce

Développement

Assistance aux voyageurs

Pays et régions

Services

À propos

Licences d'exportation applicables aux articles de cryptologie

Foire aux questions

Catégorie 5 Partie 2 – Articles à enchiffrement

A. Questions de nature général

B. Questions reliées à la note 3 sur la cryptologie

C. Questions reliées à la note 4

A. Questions de nature général

B. Questions reliées à la note 3 sur la cryptologie

C. Questions reliées à la note 4